JP2021064921A

JP2021064921A - 不正信号検出装置

Info

Publication number: JP2021064921A
Application number: JP2019190291A
Authority: JP
Inventors: 怜史西本; Reishi Nishimoto; 健介山本; Kensuke Yamamoto; 根本　浩臣; Hiroomi Nemoto; 浩臣根本; 道孝坪井; Michitaka Tsuboi
Original assignee: Honda Motor Co Ltd
Current assignee: Honda Motor Co Ltd
Priority date: 2019-10-17
Filing date: 2019-10-17
Publication date: 2021-04-22
Anticipated expiration: 2039-10-17
Also published as: JP7011637B2

Abstract

【課題】一定周期で送信される正常信号と不定期に送信される正常信号とが混在する状況で不正信号を検出する。【解決手段】車載通信網１００において、ＧＷ５は、信号間の時間間隔を時系列に計測する計測部５３と、時間間隔を時系列に記憶する記憶部５１と、計測された時間間隔が第１所定値以上かつ第２所定値以下の所定範囲内であるか否かを判定する第１判定を行う判定部５４と、第１判定で否定されると計測された時間間隔と記憶された時間間隔との和が第１所定値以上となるまで記憶された時間間隔を新しい順に順次加算して加算後の合計時間を算出する算出部５５と、合計時間が所定範囲内であるか否かを判定する第２判定を行い、信号の種別を判定する判定部５４とを備える。判定部５４は、第１判定で肯定されると第１信号が入力されたと判定し、第２判定で肯定されると不正信号が入力されたと判定し、第２判定で否定されると第２信号が入力されたと判定する。【選択図】図３

Description

本発明は、通信網に入力される不正な信号を検出する不正信号検出装置に関する。

従来、データ信号の受信間隔に基づいて不正な信号を検出するようにした装置が知られている（例えば特許文献１参照）。この特許文献１記載の装置は、データ信号の受信間隔を、予め設定された正規のデータ信号の送受信間隔と比較することで、所定の時期以外に受信したデータ信号を不正な信号と判定するように構成される。

特開平１１−１７７５８６号公報

しかしながら、特許文献１記載の装置では、一定の周期で送信される正常な信号と不定期に送信される正常な信号とが混在する状況では、不正な信号を検出することが難しい。

本発明の一態様である不正信号検出装置は、互いに同一の識別子を有する第１信号と第２信号とが入力される通信網に、同一の識別子を有する不正信号が入力されたことを検出する。第１信号は、所定状態が継続しているときに所定周期で入力される正常信号であり、第２信号は、所定状態が他の状態に変化するときに入力される正常信号である。不正信号検出装置は、通信網に入力された連続する複数の信号間の時間間隔を時系列に計測する計測部と、計測部により計測された時間間隔を時系列に記憶する記憶部と、計測部により計測された時間間隔が第１所定値以上かつ第２所定値以下の所定範囲内であるか否かを判定する第１判定部と、第１判定部により、計測部により計測された時間間隔が所定範囲内でないと判定されると、計測部により計測された時間間隔と記憶部に記憶された時間間隔との和が第１所定値以上となるまで、記憶部に記憶された時間間隔を新しい順に順次加算して、加算後の合計時間を算出する算出部と、算出部により算出された合計時間が所定範囲内であるか否かを判定する第２判定部と、通信網に入力された信号の種別を判定する信号種別判定部と、を備える。信号種別判定部は、第１判定部により、計測部により計測された時間間隔が所定範囲内であると判定されると、第１信号が入力されたと判定し、第２判定部により、算出部により算出された合計時間が所定範囲内であると判定されると、不正信号が入力されたと判定し、第２判定部により、算出部により算出された合計時間が所定範囲内でないと判定されると、第２信号が入力されたと判定する。

本発明によれば、一定の周期で送信される正常な信号と不定期に送信される正常な信号とが混在する状況で不正な信号を検出することができる。

本発明の実施形態に係る不正信号検出装置が適用される通信網の構成の一例を概略的に示す図。図１の通信網に入力される正規のデータ信号について説明するための図。本発明の実施形態に係る不正信号検出装置の要部構成を示すブロック図。図３の検出部により検出されるデータ信号の一例を模式的に示す図。本発明の実施形態に係る不正信号検出装置により実行される処理の一例を示すフローチャート。図５の信号種別判定処理の一例を示すフローチャート。

以下、図１〜図６を参照して本発明の実施形態について説明する。本発明の実施形態に係る不正信号検出装置は、一定の周期で送信される正常な信号と不定期に送信される正常な信号とが混在する通信網に適用することができる。以下では特に、ＣＡＮ（コントローラエリアネットワーク）通信線等のシリアル通信線を介して車両の動作を制御するＥＣＵ（電子制御ユニット）が接続された車載通信網に適用する例を説明する。

図１は、本発明の実施形態に係る不正信号検出装置が適用される通信網の構成の一例を概略的に示す図であり、一例として、車両１に搭載された車載通信網（以下、通信網）１００を示す。図１に示すように、車両１には複数（図では４個）のＥＣＵ２が搭載される。複数のＥＣＵ２には、エンジン制御用ＥＣＵ、変速機制御用ＥＣＵ、操舵制御用ＥＣＵなどの車両の動作に直接的な影響を与えるＥＣＵ、エアコンやナビゲーションなどの車両の動作に直接的な影響を与えない機器の制御用ＥＣＵ等、機能の異なるＥＣＵが含まれる。

各ＥＣＵ２は、ＣＡＮ通信線等の通信線１０を介して互いに通信可能に接続されて通信網１００を構成する。各ＥＣＵ２は、演算処理を行うＣＰＵ，ＲＯＭ，ＲＡＭ、その他の周辺回路を有するコンピュータを含んで構成される。各ＥＣＵ２は、予めメモリに記憶されたプログラムに従い、各種センサや他のＥＣＵ２からの信号等に基づいて各種制御を実行する。

各ＥＣＵ２にはさらに、通信線１０を介して、外部との無線通信を行うＴＣＵ（テレマティクス制御ユニット）３、車両１の故障診断やＥＣＵ２のプログラムの更新を行う診断機を接続可能なＤＬＣ（データリンクコネクタ）４が接続される。各ＥＣＵ２、ＴＣＵ３およびＤＬＣ４の間にはＧＷ（ゲートウェイ）５が設けられ、通信網１００と車外との通信あるいは複数の通信線１０間の通信を中継する。

各ＥＣＵ２やＴＣＵ３、ＤＬＣ４を介して接続された診断機等は、送信側ノードとして、送信元やデータ種別等の識別情報を示すＩＤを付したデータ信号を通信網１００に入力する。また、受信側ノードとして、通信網１００に入力されたデータ信号のうち、予め自身が受信すべきものとして設定されたＩＤが付されたデータ信号のみを受信する。また、ＧＷ５は、通信網１００に入力された各データ信号をＩＤに基づいて中継する。

通信網１００に入力される正規のデータ信号には、互いに同一のＩＤが付された、一定の周期で入力される周期信号と、不定期に入力されるイベント信号とが含まれる。例えば、特定のスイッチの状態を示す周期信号は、スイッチの切り換え操作がなく、オン、オフ等の所定状態が継続しているときに、予め定められた規定周期Ｔ（例えば、２００ｍｓ）毎に通信網１００に入力される。また、特定のスイッチの状態を示すイベント信号は、スイッチの切り換え操作があり、スイッチのオン、オフ等の状態が変化するときに入力される。このような信号には、特定のスイッチの状態を示す信号の他、特定のセンサ値やコマンド値等の状態を示す信号等が含まれる。

図２は、通信網１００に入力される正規のデータ信号について説明するための図であり、互いに同一のＩＤが付された周期信号およびイベント信号の一例を示す。図２に示すように、イベント信号は、スイッチの状態が例えばオフ状態からオン状態に変化すると通信網１００に入力される。一方、各周期信号は、スイッチの状態が変化しないと、前回の周期信号の入力から規定周期Ｔ後に入力され、スイッチの状態が変化してイベント信号が入力されると、イベント信号の入力から規定周期Ｔ後に入力される。

ところで、通信網１００に対しては、悪意のある第三者が不正信号を入力することがある。例えば、正規のデータ信号に付されるＩＤを付した不正信号（なりすまし信号）を大量に入力して正規信号の送受信を妨害する、いわゆるＤｏＳ攻撃（Denial of Service attack）が行われることがある。

通信網１００に周期信号のみが入力される場合は、連続して入力された信号間の時間間隔をＩＤ毎の規定周期Ｔと比較することで不正信号を検出することができる。しかしながら、通信網１００に同一ＩＤの周期信号とイベント信号とが入力される場合は、同様の手法により不正信号を検出することが難しい。そこで、本実施形態では、通信網１００に同一ＩＤの周期信号とイベント信号とが入力される場合でも不正信号を検出できるよう、以下のように不正信号検出装置を構成する。

図３は、本発明の実施形態に係る不正信号検出装置の要部構成を示すブロック図であり、一例として、通信網１００に入力されたデータ信号を中継するＧＷ５（図１）が不正信号検出装置として機能する場合を示す。図３に示すように、ＧＷ５は、ＣＰＵ等の演算部５０と、ＲＯＭ，ＲＡＭ等の記憶部５１と、その他の周辺回路とを有するコンピュータを含んで構成される。演算部５０は、機能的構成として、検出部５２と、計測部５３と、判定部５４と、算出部５５とを有する。

検出部５２は、通信網１００に入力された全てのデータ信号および各データ信号に付されたＩＤを検出する。すなわち、各ＥＣＵ２やＴＣＵ３、ＤＬＣ４を介して接続された診断機から入力される正規信号だけでなく、改ざんされたＥＣＵや通信網１００に挿入された不正な外部機器から入力される不正信号を含む、あらゆるデータ信号とそのＩＤを検出する。

図４は、検出部５２により検出されるデータ信号の一例を模式的に示す図であり、特定のＩＤが付されたデータ信号のみを示す。図４の例では、時刻ｔ₀から時刻ｔ₁₁にかけて、互いに同一のＩＤが付された１１個のデータ信号が検出される。

計測部５３は、特定のＩＤが付された、連続する複数のデータ信号間の時間間隔を時系列に計測する。具体的には、検出部５２により特定のＩＤが付されたデータ信号が検出される度にタイマによる計時を行い、前回の検出時刻ｔ_n-1から今回の検出時刻ｔ_nまでの時間間隔Ｔ_nを計測する。図４の例では、時刻ｔ₀から時刻ｔ₁₁にかけて１１個の時間間隔Ｔ₁〜Ｔ₁₁が計測される。

計測部５３により計測された時間間隔Ｔ_nは、記憶部５１のバッファ領域にバッファ値として時系列に記憶される。図４に示すように、記憶部５１には、データ信号のＩＤ毎に、正常な状態における最大の通信頻度を考慮して設定された所定数のバッファ領域が設けられる。例えば、２００ｍｓの規定周期Ｔにわたり、１０ｍｓ間隔のデータ信号が継続して入力されるような状態に対応する２０個（図４では５個のみ示す）のバッファ領域が設けられる。これにより記憶部５１には、データ信号のＩＤ毎に所定数までのバッファ値（時間間隔Ｔ_n）を記憶することができる。バッファ領域を所定数に制限することで、ＤｏＳ攻撃等によって過剰にバッファ値が蓄積されることを防止することができる。

図３の判定部５４は、記憶部５１に記憶されたバッファ値（時間間隔Ｔ_n）に基づいて、通信網１００に入力されたデータ信号の信号種別を判定する。具体的には、連続する正規信号間の規定周期Ｔ内にデータ信号の割込みがあったか否かを判定する第１判定と、割り込んだデータ信号が正規のイベント信号であるか不正信号であるかを判定する第２判定とを行うことで、信号種別を判定する。

判定部５４は、第１判定として、記憶部５１に記憶された最新のバッファ値（以下、最新バッファ値）Ｔ_nが規定周期Ｔと一致するか否かを判定する。具体的には、最新バッファ値Ｔ_nが規定周期Ｔを基準とする所定範囲内であるか否かを判定する。換言すると、最新バッファ値Ｔ_nが所定範囲の下限値（Ｔ−Ｔｈ）以上かつ上限値（Ｔ＋Ｔｈ）以下であるか否かを判定する。最新バッファ値Ｔ_nが規定周期Ｔに一致すると判定されると、規定周期Ｔ内にデータ信号の割込みがなく、時刻ｔ_nにおいて正規の周期信号が検出されたと判定される。

より具体的には、先ず、最新バッファ値Ｔ_nが、通信調停等、他の通信の影響を考慮して設定された第１所定範囲内（例えば、±５％以内）であるか否かを判定する。すなわち、最新バッファ値Ｔ_nが第１所定範囲の下限値（Ｔ−Ｔｈ₁）以上かつ上限値（Ｔ＋Ｔｈ₁）以下であるか否かを判定する。最新バッファ値Ｔ_nが第１所定範囲内であると判定されると、規定周期Ｔ内にデータ信号の割込みがなく、時刻ｔ_nにおいて正規の周期信号が検出されたと判定され、記憶部５１のバッファ領域に記憶された全てのバッファ値がクリアされる。

最新バッファ値Ｔ_nが第１所定範囲内でないと判定されると、さらに、第２所定範囲内（例えば、±２０％以内）であるか否かを判定する。すなわち、第２所定範囲の下限値（Ｔ−Ｔｈ₂）以上かつ第１所定範囲の下限値（Ｔ−Ｔｈ₁）未満、または、第１所定範囲の上限値（Ｔ＋Ｔｈ₁）より大きく第２所定範囲の上限値（Ｔ＋Ｔｈ₂）以下であるか否かを判定する。この判定で肯定される場合は、規定周期Ｔの通信に正規のイベント信号が入力された可能性や、何らかの理由で通信周期が変化した可能性等が考えられるため、記憶部５１のバッファ領域に記憶されたバッファ値がクリアされずに次回の信号検出まで保持される。

例えば、図４の時刻ｔ₁，ｔ₇，ｔ₁₁では、最新バッファ値Ｔ₁，Ｔ₇，Ｔ₁₁が規定周期Ｔに一致すると判定される。この場合、規定周期Ｔに相当する時刻ｔ₀〜ｔ₁，ｔ₆〜ｔ₇，ｔ₁₀〜ｔ₁₁にデータ信号の割込みがなく、各時刻ｔ₁，ｔ₇，ｔ₁₁において正規の周期信号が検出されたと判定され、記憶部５１のバッファ領域に記憶された全てのバッファ値がクリアされる。

一方、時刻ｔ₂，ｔ₄，ｔ₅，ｔ₈，ｔ₉では、最新バッファ値Ｔ₂，Ｔ₄，Ｔ₅，Ｔ₈，Ｔ₉が第２所定範囲の下限値（Ｔ−Ｔｈ₂）より小さく、規定周期Ｔに満たないと判定される。この場合、時刻ｔ₂，ｔ₄，ｔ₅，ｔ₈，ｔ₉において検出されたデータ信号は、規定周期Ｔの間に割り込んだ正規のイベント信号または不正信号であると判定される。このように、第１判定で否定され、規定周期Ｔの間に割り込んだ正規のイベント信号または不正信号が検出されたと判定される場合は、記憶部５１のバッファ領域に記憶されたバッファ値がクリアされずに次回の信号検出まで保持される。

図３の算出部５５は、判定部５４による第１判定で否定され、記憶部５１のバッファ領域に新たなバッファ値Ｔ_nが記憶されると、新たに記憶された最新バッファ値に、前回以前に記憶されたバッファ値を順次加算して、加算後の合計時間Ｔ_Sを算出する。より具体的には、合計時間Ｔ_Sが所定範囲の下限値（Ｔ−Ｔｈ）以上となるまで、最新バッファ値Ｔ_nに前回以前のバッファ値Ｔ_n-1，Ｔ_n-2，…を新しい順に順次加算する。

例えば、図４の時刻ｔ₃，ｔ₅，ｔ₆，ｔ₉，ｔ₁₀では、最新バッファ値Ｔ₃，Ｔ₅，Ｔ₆，Ｔ₉，Ｔ₁₀に前回のバッファ値Ｔ₂，Ｔ₄，Ｔ₅，Ｔ₈，Ｔ₉を加算して合計時間Ｔ_Sを算出する。図４に示すように、時刻ｔ₆では、最新バッファ値Ｔ₆に前回のバッファ値Ｔ₅を加算した合計時間Ｔ_Sが所定範囲の下限値（Ｔ−Ｔｈ）に満たないことから、さらに前々回のバッファ値Ｔ₄を加算して合計時間Ｔ_Sを算出する。時刻ｔ₅では、最新バッファ値Ｔ₅に前回のバッファ値Ｔ₄を加算した合計時間Ｔ_Sが所定範囲の下限値（Ｔ−Ｔｈ）に満たないが前々回以前のバッファ値が記憶されていないため、次回のデータ信号が検出されて新たなバッファ値が記憶されるまで待機する。

判定部５４は、第２判定として、算出部５５により算出された所定範囲の下限値（Ｔ−Ｔｈ）以上の合計時間Ｔ_Sが規定周期Ｔと一致するか否か、すなわち上限値（Ｔ＋Ｔｈ）以下であるか否かを判定する。合計時間Ｔ_Sが上限値（Ｔ＋Ｔｈ）以下であると判定されると、規定周期Ｔ内に不正信号が割り込んだと判定され、記憶部５１のバッファ領域に記憶された全てのバッファ値がクリアされる。

例えば、図４の時刻ｔ₃，ｔ₆，ｔ₁₀では、合計時間Ｔ_S（Ｔ₃＋Ｔ₂，Ｔ₆＋Ｔ₅＋Ｔ₄，Ｔ₁₀＋Ｔ₉）が規定周期Ｔに一致すると判定され、規定周期Ｔに相当する時刻ｔ₁〜ｔ₃，ｔ₃〜ｔ₆，ｔ₈〜ｔ₁₀において不正信号が割り込んだと判定される。この場合、記憶部５１のバッファ領域に記憶された全てのバッファ値（Ｔ₂〜Ｔ₃，Ｔ₄〜Ｔ₆，Ｔ₉〜Ｔ₁₀）がクリアされる。

なお、判定部５４は、記憶部５１のバッファ領域に記憶されるバッファ値が所定数（バッファ領域の数）を超えたときも、規定周期Ｔ内に不正信号が割り込んだと判定し、全てのバッファ値をクリアする。

判定部５４は、さらに、規定周期Ｔに不正信号が割り込んだと判定された回数をカウントする。すなわち、不正信号が割り込んだと判定される度にカウント値を第１所定量（例えば、１）インクリメントする。また、第１判定で最新バッファ値Ｔ_nが第２所定範囲内であると判定される度にカウント値を第２所定量（例えば、１／５）インクリメントする。そして、カウント値が所定値（例えば、１０）に達すると、通信網１００に不正信号が入力されたと確定的に判定し、例えば、不正信号が検出されたことを示すＤＴＣ（Diagnostic Trouble Code）を記憶部５１に記録する。

このように、規定周期Ｔ毎の不正信号の検出回数をカウントしてカウント値が所定値に達したときに検出を確定することで、通信網１００への攻撃を企図して連続的に入力されるＤｏＳ攻撃等の不正信号を正確に検出することができる。

一方、第１判定で肯定されて規定周期Ｔ内にデータ信号の割込みがないと判定されるときは、連続的な信号入力がないことからカウント値をリセットする。例えば、図４の時刻ｔ₇，ｔ₁₁では、規定周期Ｔに相当する時刻ｔ₆〜ｔ₇，ｔ₁₀〜ｔ₁₁においてデータ信号の割込みがないと判定され、カウント値が０にリセットされる。カウント値は、車両１のイグニションスイッチがオフされたときにもリセットされる。また、ＤＬＣ４を介して診断機からＤＴＣクリア信号が入力されたときにもリセットされる。連続的な信号入力がないときはカウント値をリセットすることで、不正信号の誤検出を防止することができる。

判定部５４は、第２判定で合計時間Ｔ_Sが上限値（Ｔ＋Ｔｈ）を超えると判定すると、規定周期Ｔ内に正規のイベント信号が割り込んだと判定し、記憶部５１のバッファ領域に記憶された最旧のバッファ値（以下、最旧バッファ値）のみをクリアする。例えば、図４の時刻ｔ₉では、合計時間Ｔ_S（Ｔ₉＋Ｔ₈）が規定周期Ｔを超えると判定され、規定周期Ｔに相当する時刻ｔ₇〜ｔ₉において正規のイベント信号が割り込んだと判定される。この場合、記憶部５１のバッファ領域に記憶された最旧バッファ値Ｔ₈のみがクリアされる。

図４の例に示すように、時刻ｔ₇の周期信号に続いて時刻ｔ₈でイベント信号が発生すると、次回の周期信号は時刻ｔ₈のイベント信号の規定周期Ｔ後である時刻ｔ₁₀に発生する。このような場合の合計時間Ｔ_S（Ｔ₉＋Ｔ₈）は、規定周期Ｔを超える可能性が高い。すなわち、合計時間Ｔ_Sが規定周期Ｔを超えたときに、最後に加算された最旧バッファ値Ｔ₈が、イベント信号が発生するまでの時間間隔である可能性が高い。このような最旧バッファ値Ｔ₈のみをクリアすることで、新たな規定周期Ｔの起点を時刻ｔ₇から時刻ｔ₈に調整することができる。

図５および図６は、不正信号検出装置として機能するＧＷ５０の演算部５０により、予めメモリに記憶されたプログラムに従い実行される処理の一例を示すフローチャートである。このフローチャートに示す処理は、特定のＩＤが付されたデータ信号が検出されると開始され、所定時間毎に繰り返される。

図５に示すように、先ずステップＳ１で、データ信号が検出されてからの時間経過の計測を開始する。次いでステップＳ２で、特定のＩＤが付された新たなデータが検出されるまで待機する。ステップＳ２で新たなデータ信号が検出されると、ステップＳ３に進み、計測された時間間隔Ｔ_nを記憶部５１のバッファ領域に最新バッファ値Ｔ_nとして記憶する。次いでステップＳ４に進み、信号種別判定処理を実行する。

図６に示すように、信号種別判定処理では、先ずステップＳ４０において、記憶部５１のバッファ領域に記憶された最新バッファ値Ｔ_nが所定範囲の下限値（Ｔ−Ｔｈ）以上かつ上限値（Ｔ＋Ｔｈ）以下であるか否かを判定する。ステップＳ４０で肯定されるとステップＳ４１に進み、規定周期Ｔ内にデータ信号の割込みがなく正規の周期信号が検出されたと判定するとともに、全てのバッファ値をクリアし、カウント値をリセットする。

一方、ステップＳ４０で否定されるとステップＳ４２に進み、記憶部５１のバッファ領域に、より旧いバッファ値が記憶されているか否かを判定する。ステップＳ４２で肯定されるとステップＳ４３に進み、否定されるとステップＳ４６に進む。ステップＳ４３では、最新バッファ値に前回以前のバッファ値を順次加算して加算後の合計時間Ｔ_Sを算出する。

次いでステップＳ４４で、ステップＳ４３で算出された合計時間Ｔ_Sが所定範囲の下限値（Ｔ−Ｔｈ）以上であるか否かを判定する。ステップＳ４４で否定されるとステップＳ４５に進み、記憶部５１のバッファ領域に、より旧いバッファ値が記憶されているか否かを判定する。ステップＳ４５で肯定されるとステップＳ４３に戻り、否定されるとステップＳ４６に進み、信号種別判定を保留する。

一方、ステップＳ４４で肯定されるとステップＳ４７に進み、ステップＳ４３で算出された合計時間Ｔ_Sが所定範囲の上限値（Ｔ＋Ｔｈ）以下であるか否かを判定する。ステップＳ４７で肯定されるとステップＳ４８に進み、規定周期Ｔ内に不正信号が割り込んだと判定するとともに、全てのバッファ値をクリアし、カウント値をインクリメントする。一方、ステップＳ４７で否定されるとステップＳ４９に進み、規定周期Ｔ内に正規のイベント信号が割り込んだと判定するとともに、最旧バッファ値のみをクリアする。

ステップＳ４１，Ｓ４８，Ｓ４９で信号種別が判定され、あるいはステップＳ４６で信号種別判定が保留されると、図５のステップＳ５に進み、記憶部５１のバッファ領域に空きがあるか否かを判定する。ステップＳ５で肯定されるとステップＳ２に戻り、否定されるとステップＳ６に進み、正常な通信頻度を超えるデータ信号が検出されたとして不正信号が入力されたと判定するとともに、全てのバッファ値をクリアし、カウント値をインクリメントする。

次いでステップＳ７で、カウント値が所定値に達したか否かを判定する。ステップＳ７で否定されるとステップＳ２に戻り、肯定されるとステップＳ８に進み、不正信号の検出を確定する。

このように、規定周期Ｔ内にデータ信号の割込みがあったか否かを判定するとともに（Ｓ４０，Ｓ４１）、割り込んだデータ信号が正規のイベント信号であるか不正信号であるかを判定することで（Ｓ４４，Ｓ４７，Ｓ４８，Ｓ４９）、信号種別を判定する。これにより、一定の周期で送信される正規の周期信号と不定期に送信される正規のイベント信号とが混在する通信網１００への不正信号の入力を検出することができる。

本発明の実施形態によれば以下のような作用効果を奏することができる。
（１）不正信号検出装置として機能するＧＷ５は、互いに同一のＩＤを有する周期信号とイベント信号とが入力される通信網１００に、同一のＩＤを有する不正信号が入力されたことを検出する。周期信号は、所定状態が継続しているときに規定周期Ｔで入力される正常信号であり、イベント信号は、所定状態が他の状態に変化するときに入力される正常信号である。

ＧＷ５は、通信網１００に入力された連続する複数の信号間の時間間隔Ｔ_nを時系列に計測する計測部５３と、計測部５３により計測された時間間隔Ｔ_nを時系列に記憶する記憶部５１と、計測部５３により計測された時間間隔Ｔ_nが下限値（Ｔ−Ｔｈ）以上かつ上限値（Ｔ＋Ｔｈ）以下の所定範囲内であるか否かを判定する第１判定を行う判定部５４と、判定部５４により、計測部５３により計測された時間間隔Ｔ_nが所定範囲内でないと判定されると、計測部５３により計測された時間間隔Ｔ_nと記憶部５１に記憶された時間間隔Ｔ_n-1，Ｔ_n-2，…との和が所定範囲の下限値（Ｔ−Ｔｈ）以上となるまで、記憶部５１に記憶された時間間隔Ｔ_nを新しい順に順次加算して、加算後の合計時間Ｔ_Sを算出する算出部５５と、算出部５５により算出された合計時間Ｔ_Sが所定範囲内であるか否かを判定する第２判定を行う判定部５４と、通信網１００に入力された信号の種別を判定する信号種別判定を行う判定部５４と、を備える（図３）。

判定部５４は、計測部５３により計測された時間間隔Ｔ_nが所定範囲内であると判定されると、周期信号が入力されたと判定する。また、算出部５５により算出された合計時間Ｔ_Sが所定範囲内であると判定されると、不正信号が入力されたと判定する。また、算出部５５により算出された合計時間Ｔ_Sが所定範囲内でないと判定されると、イベント信号が入力されたと判定する。これにより、一定の周期で送信される正規の周期信号と不定期に送信される正規のイベント信号とが混在する通信網１００への不正信号の入力を検出することができる。

（２）記憶部５１は、判定部５４により、計測部５３により計測された時間間隔Ｔ_nが所定範囲内であると判定されると、記憶された時間間隔Ｔ_nを全て消去する。また、判定部５４により、算出部５５により算出された合計時間Ｔ_Sが所定範囲内であると判定されると、記憶された時間間隔Ｔ_nを全て消去する。また、判定部５４により、算出部５５により算出された合計時間Ｔ_Sが所定範囲内でないと判定されると、記憶された時間間隔Ｔ_nのうち、最も旧い時間間隔Ｔ_nを消去する。これにより、規定周期Ｔ毎に不正信号の入力を検出することができる。

（３）判定部５４は、さらに、記憶部５１に所定数の時間間隔Ｔ_nが記憶されると、通信網１００に不正信号が入力されたと判定する。例えば、バッファ領域の数を正常な通信頻度を考慮して設定された所定数に制限することで、通信網１００への攻撃を企図して連続的に入力されるＤｏＳ攻撃等の不正信号を検出できるとともに、過剰なバッファ値が蓄積されることを防止することができる。

（４）判定部５４は、算出部５５により算出された合計時間Ｔ_Sが所定範囲内であると判定される度にカウント値をインクリメントし、インクリメントされたカウント値が所定値に達すると、通信網１００に不正信号が入力されたと判定する。すなわち、規定周期Ｔ毎の不正信号の検出回数をカウントしてカウント値が所定値に達したときに検出を確定することで、通信網１００への攻撃を企図して連続的に入力されるＤｏＳ攻撃等の不正信号を正確に検出することができる。

（５）判定部５４は、計測部５３により計測された時間間隔Ｔ_nが所定範囲内であると判定されると、カウント値をリセットする。すなわち、連続的な信号入力がないときはカウント値をリセットすることで、誤検出を防止することができる。

（６）判定部５４は、算出部５５により算出された合計時間Ｔ_Sの規定周期Ｔとの差が第１所定範囲（±Ｔｈ₁）内であると判定されると、第１所定量のカウント値をインクリメントする。また、算出部５５により算出された合計時間Ｔ_Sの規定周期Ｔとの差が第１所定範囲（±Ｔｈ₁）内でなく、かつ、第１所定範囲よりも大きい第２所定範囲（±Ｔｈ₂）内であると判定されると、第１所定量より小さい第２所定量のカウント値をインクリメントする。すなわち、規定周期Ｔの通信に正規のイベント信号が入力された可能性や、何らかの理由で通信周期が変化した可能性が考えられるときはインクリメントするカウント値を小さくすることで、誤検出を防止し、不正信号を正確に検出することができる。

上記実施形態は種々の形態に変形することができる。以下、変形例について説明する。上記実施形態では、判定部５４が第１判定部として規定周期Ｔ内の割込み信号の有無を判定し、第２判定部として割込み信号の種別を判定し、信号種別判定部として信号種別判定を行うとしたが、第１、第２判定部、信号種別判定部はこのようなものに限らない。

上記実施形態では、不正信号検出装置を車載通信網１００に適用する例を説明したが、互いに同一の識別子を有する第１信号と第２信号とが入力される通信網は車載通信網に限らない。また、ＧＷ５が不正信号検出装置として機能する例を説明したが、不正信号が入力されたことを検出する不正信号検出装置はこのようなものに限らない。例えば、データ信号の中継を行わない各ノードのいずれかが不正信号検出装置として機能するようにしてもよい。

上記実施形態では、ＤｏＳ攻撃による不正信号を検出するようにしたが、正常信号と同一の識別子を有する不正信号は、正常な通信頻度を超えて通信網に入力されるものであればよく、ＤｏＳ攻撃による不正信号に限らない。

以上の説明はあくまで一例であり、本発明の特徴を損なわない限り、上述した実施形態および変形例により本発明が限定されるものではない。上記実施形態と変形例の一つまたは複数を任意に組み合わせることも可能であり、変形例同士を組み合わせることも可能である。

１車両、２ＥＣＵ（電子制御ユニット）、３ＴＣＵ（テレマティクス制御ユニット）、４ＤＬＣ（データリンクコネクタ）、５ＧＷ（ゲートウェイ）、１０通信線、５０演算部、５１記憶部、５２検出部、５３計測部、５４判定部、５５算出部、１００車載通信網（通信網）

Claims

互いに同一の識別子を有する第１信号と第２信号とが入力される通信網に、同一の識別子を有する不正信号が入力されたことを検出する不正信号検出装置であって、
前記第１信号は、所定状態が継続しているときに所定周期で入力される正常信号であり、前記第２信号は、前記所定状態が他の状態に変化するときに入力される正常信号であり、
前記通信網に入力された連続する複数の信号間の時間間隔を時系列に計測する計測部と、
前記計測部により計測された時間間隔を時系列に記憶する記憶部と、
前記計測部により計測された時間間隔が第１所定値以上かつ第２所定値以下の所定範囲内であるか否かを判定する第１判定部と、
前記第１判定部により、前記計測部により計測された時間間隔が前記所定範囲内でないと判定されると、前記計測部により計測された時間間隔と前記記憶部に記憶された時間間隔との和が前記第１所定値以上となるまで、前記記憶部に記憶された時間間隔を新しい順に順次加算して、加算後の合計時間を算出する算出部と、
前記算出部により算出された合計時間が前記所定範囲内であるか否かを判定する第２判定部と、
前記通信網に入力された信号の種別を判定する信号種別判定部と、を備え、
前記信号種別判定部は、
前記第１判定部により、前記計測部により計測された時間間隔が前記所定範囲内であると判定されると、前記第１信号が入力されたと判定し、
前記第２判定部により、前記算出部により算出された合計時間が前記所定範囲内であると判定されると、不正信号が入力されたと判定し、
前記第２判定部により、前記算出部により算出された合計時間が前記所定範囲内でないと判定されると、前記第２信号が入力されたと判定することを特徴とする不正信号検出装置。
請求項１に記載の不正信号検出装置において、
前記記憶部は、
前記第１判定部により、前記計測部により計測された時間間隔が前記所定範囲内であると判定されると、記憶された時間間隔を全て消去し、
前記第２判定部により、前記算出部により算出された合計時間が前記所定範囲内であると判定されると、記憶された時間間隔を全て消去し、
前記第２判定部により、前記算出部により算出された合計時間が前記所定範囲内でないと判定されると、記憶された時間間隔のうち、最も旧い時間間隔を消去することを特徴とする不正信号検出装置。
請求項２に記載の不正信号検出装置において、
前記信号種別判定部は、さらに、前記記憶部に所定数の時間間隔が記憶されると、前記通信網に不正信号が入力されたと判定することを特徴とする不正信号検出装置。
請求項１〜３のいずれか１項に記載の不正信号検出装置において、
前記信号種別判定部は、前記第２判定部により、前記算出部により算出された合計時間が前記所定範囲内であると判定される度にカウント値をインクリメントし、インクリメントされたカウント値が所定値に達すると、前記通信網に不正信号が入力されたと判定することを特徴とする不正信号検出装置。
請求項４に記載の不正信号検出装置において、
前記信号種別判定部は、前記第１判定部により、前記計測部により計測された時間間隔が前記所定範囲内であると判定されると、前記カウント値をリセットすることを特徴とする不正信号検出装置。
請求項４または５に記載の不正信号検出装置において、
前記信号種別判定部は、前記第２判定部により、前記算出部により算出された合計時間の前記所定周期との差が第１所定範囲内であると判定されると、第１所定量のカウント値をインクリメントし、前記第２判定部により、前記算出部により算出された合計時間の前記所定周期との差が前記第１所定範囲内でなく、かつ、前記第１所定範囲よりも大きい第２所定範囲内であると判定されると、前記第１所定量より小さい第２所定量のカウント値をインクリメントすることを特徴とする不正信号検出装置。